Pas d'accord avec toi Mic. Tu contrôles toujours tes entrées avec un certificat Wildcard puisque tu les as créé dans le proxy inversé ou le virtual host ! Si tata.ndd.tld n'existe pas alors il ne t'amènera à rien d'autre qu'une page d'erreur 403.
De plus, le certifcat Wildcard a pour moi le gros avantage de cacher la zone DNS. J'ai des services ou je préfère qu'ils restent confidentiels aux yeux des petits curieux et ils peuvent tenter la consultation de la zone DNS sur le certificat, ils ne verront rien d'autre que le domaine principal qu'ils connaissent déjà.
Je vois aussi l'avantage que lorsque tu ouvres un nouveau domaine, tu n'as pas besoin de faire un renouvellement du certificat puisqu'il est prit en compte automatiquement.
Tu as aussi l'avantage d'avoir que deux entrées dans ta zone DNS contre autant de services que nécessaire pour un certificat SAN. Pareil, tu gagnes du temps à ne pas aller ajouter/supprimer dans ta zone DNS des domaines.
Ah et j'allais oublié, tu n'es pas limité non plus dans les domaines comme le certificat SAN de Let's Encrypt qu'on met en place de base sur un NAS Synology.
Dernière chose, plus besoin d'ouvrir le port 80 aux deux IPs des serveurs de Let's Encrypt.
Bref, je n'y vois franchement aucun inconvénient pour ma part !